Qu’est-ce que DORA dans le secteur financier ?

DORA répartit les obligations des entités financières en cinq chapitres :

• Gestion du risque lié aux TIC (chapitre II, articles 5 à 16). Un cadre de gestion du risque lié aux TIC solide, complet et bien documenté, réexaminé au moins une fois par an, après tout incident majeur lié aux TIC et à la suite d’instructions des autorités ou de conclusions de tests et d’audits (article 6).
• Gestion, classification et notification des incidents liés aux TIC (chapitre III, articles 17 à 23). Chaque incident lié aux TIC et chaque cybermenace importante est enregistré, et les incidents majeurs sont classés puis notifiés par étapes à l’autorité compétente. Voir comment fonctionne la notification des incidents DORA.
• Tests de résilience opérationnelle numérique (chapitre IV, articles 24 à 27). Un programme de tests fondé sur les risques, avec des tests appropriés au moins une fois par an sur tous les systèmes et applications de TIC qui soutiennent des fonctions critiques ou importantes (article 24, paragraphe 6, hors microentreprises), et un test de pénétration fondé sur la menace au moins tous les trois ans pour les entités désignées par leur autorité compétente (article 26). Voir les tests de résilience opérationnelle au sens de DORA.
• Risques liés aux prestataires tiers de services TIC (chapitre V, articles 28 à 44). Ces risques sont gérés au sein du risque lié aux TIC, avec un registre d’informations sur tous les accords contractuels portant sur des services TIC (article 28, paragraphe 3), des clauses contractuelles fixées par écrit (article 30), des stratégies de sortie pour les services TIC qui soutiennent des fonctions critiques ou importantes (article 28, paragraphe 8) et un cadre de supervision des prestataires tiers critiques de services TIC (articles 31 à 44).
• Partage d’informations (chapitre VI, article 45). Les entités financières peuvent échanger entre elles des informations et des renseignements sur les cybermenaces, comme des indicateurs de compromission et des tactiques, techniques et procédures.

DORA confie le risque lié aux TIC à l’organe de direction. Selon l’article 5, paragraphe 2, il définit, approuve et supervise le cadre de gestion du risque lié aux TIC, répond de sa mise en œuvre et assume la responsabilité ultime de la gestion du risque lié aux TIC de l’entité. Le même article lui fait approuver la stratégie de résilience opérationnelle numérique, y compris le niveau de tolérance au risque lié aux TIC, approuver et réexaminer périodiquement la politique de continuité des activités de TIC et les plans de réponse et de rétablissement, approuver les plans d’audit interne des TIC, allouer le budget et approuver la politique d’utilisation des services TIC fournis par des tiers. Selon l’article 5, paragraphe 4, ses membres entretiennent les connaissances et compétences suffisantes pour comprendre et évaluer le risque lié aux TIC, notamment par une formation régulière.

L’externalisation ne déplace pas cette responsabilité. L’article 28, paragraphe 1, point a), précise que l’entité financière qui recourt à des services TIC de tiers reste à tout moment pleinement responsable du respect de DORA et du droit des services financiers applicable.

DORA est un règlement : il est obligatoire dans tous ses éléments et directement applicable dans chaque État membre, sans transposition nationale. Publié au Journal officiel le 27 décembre 2022, il est entré en vigueur le 16 janvier 2023 et s’applique depuis le 17 janvier 2025 (article 64). Une grande partie du détail figure dans des normes techniques de réglementation et d’exécution élaborées par les autorités européennes de surveillance (ABE, AEAPP et AEMF), par exemple les délais et modèles de notification des incidents.

Pour les entités financières qui sont aussi des entités essentielles ou importantes au sens de NIS2, l’article 1, paragraphe 2, de DORA en fait un acte juridique sectoriel de l’Union aux fins de l’article 4 de NIS2. Lorsqu’un tel acte impose des exigences de gestion des risques et de notification des incidents d’effet au moins équivalent, les dispositions correspondantes de NIS2 ne s’appliquent pas à ces entités. Voir NIS2 et DORA : les différences.

• Les fonctions critiques ou importantes ne sont pas identifiées d’abord. La définition de l’article 3, point 22, détermine le périmètre des tests, des tests de pénétration fondés sur la menace, des stratégies de sortie et des clauses contractuelles renforcées : une liste floue fragilise tout le reste.
• Le registre d’informations est constitué une fois puis oublié. L’article 28, paragraphe 3, impose de le tenir à jour, au niveau de l’entité et aux niveaux sous-consolidé et consolidé. Voir le registre d’informations DORA.
• Le certificat d’un prestataire est pris pour un transfert de responsabilité. Selon l’article 28, paragraphe 1, point a), l’entité financière reste pleinement responsable.
• Le réexamen du cadre n’est qu’une échéance de calendrier. L’article 6, paragraphe 5, l’exige aussi après un incident majeur lié aux TIC et à la suite d’instructions des autorités ou de conclusions de tests et d’audits.